OurSharePoint - CVE-2025-53770 (PoC)

Esta es una herramienta sencilla en C# que construye una carga útil de .NET DataSet comprimida con GZip y codificada en Base64, utilizando una carga útil interna codificada con LosFormatter. Está diseñada para ayudar a reproducir la cadena de ejecución remota de código (RCE) por deserialización de SharePoint descrita en investigaciones públicas.

Qué hace

Se le proporciona una carga útil codificada en Base64 (como una de ysoserial.net), y la herramienta:

• La envuelve dentro de un DataSet de .NET válido con un esquema XML personalizado + diffgram
• Serializa el resultado con BinaryFormatter
• Comprime el blob serializado con GZip
• Codifica el resultado en Base64 y lo escribe en un archivo .b64

Referencias

• https://research.eye.security/sharepoint-under-siege/
• https://github.com/rapid7/metasploit-framework/pull/20409/commits

Uso

Primero, genere su carga útil con ysoserial.net:

ysoserial.exe -f LosFormatter -g TypeConfuseDelegate -o base64 -c "cmd /c calc.exe" > nested_gadget.b64

Luego ejecute esta herramienta:

OurSharePointBuilder.exe --in=nested_gadget.b64 --out=exploit --a=<random> --b=<random> --c=<random>

Esto generará:

• exploit.bin: un DataSet serializado sin procesar
• exploit.b64: la carga útil final comprimida con GZip y codificada en Base64, lista para usar

Además, si no especifica --a, --b o --c, la herramienta genera nombres aleatorios en minúsculas.

Notas

Esta herramienta no valida ni inspecciona la carga útil que se le proporcione.

Si está probando localmente y deserializa manualmente, puede ejecutarse (por ejemplo, abrir la calculadora).